Bản phát hành Chrome 93

Google đã tiết lộ việc phát hành trình duyệt web Chrome 93. Đồng thời, đã có sẵn bản phát hành ổn định của dự án Chrome miễn phí, đóng vai trò là nền tảng của Chrome. Trình duyệt Chrome nổi bật nhờ việc sử dụng logo Google, sự hiện diện của hệ thống gửi thông báo trong trường hợp gặp sự cố, mô-đun phát nội dung video được bảo vệ (DRM), hệ thống tự động cài đặt các bản cập nhật và truyền thông số RLZ khi tìm kiếm. Bản phát hành tiếp theo của Chrome 94 được lên kế hoạch vào ngày 21 tháng 4 (quá trình phát triển đã được chuyển sang chu kỳ phát hành XNUMX tuần).

Những thay đổi chính trong Chrome 93:

• Thiết kế của khối với thông tin trang (page info) đã được hiện đại hóa, trong đó hỗ trợ các khối lồng nhau đã được triển khai và danh sách thả xuống có quyền truy cập đã được thay thế bằng các công tắc. Danh sách đảm bảo rằng thông tin quan trọng nhất sẽ được hiển thị đầu tiên. Thay đổi này không được bật cho tất cả người dùng; để kích hoạt nó, bạn có thể sử dụng cài đặt “chrome://flags/#page-info-version-2-desktop”.
• Đối với một tỷ lệ nhỏ người dùng, dưới dạng thử nghiệm, chỉ báo kết nối an toàn trên thanh địa chỉ đã được thay thế bằng biểu tượng trung tính hơn, không gây ra sự hiểu nhầm (khóa được thay thế bằng ký hiệu “V”). Đối với các kết nối được thiết lập mà không mã hóa, chỉ báo “không an toàn” tiếp tục được hiển thị. Lý do được đưa ra để thay thế chỉ báo là nhiều người dùng liên kết chỉ báo ổ khóa với thực tế là nội dung của trang web có thể đáng tin cậy, thay vì coi đó là dấu hiệu cho thấy kết nối đã được mã hóa. Đánh giá theo khảo sát của Google, chỉ 11% người dùng hiểu ý nghĩa của biểu tượng có ổ khóa.
• Danh sách các tab đã đóng gần đây hiện hiển thị nội dung của các nhóm tab đã đóng (trước đây danh sách chỉ hiển thị tên của nhóm mà không nêu chi tiết nội dung) với khả năng trả về cả nhóm và các tab riêng lẻ từ nhóm cùng một lúc. Tính năng này không được bật cho tất cả người dùng, vì vậy bạn có thể cần thay đổi cài đặt "chrome://flags/#tab-restore-sub-menus" để bật tính năng này.
• Đối với doanh nghiệp, các cài đặt mới đã được triển khai: DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites và JavaScriptJitBlockedForSites, cho phép bạn kiểm soát chế độ không có JIT, chế độ này vô hiệu hóa việc sử dụng trình biên dịch JIT khi thực thi JavaScript (chỉ sử dụng trình thông dịch Ignition) và cấm phân bổ tệp thực thi bộ nhớ trong quá trình thực thi mã. Việc tắt JIT có thể hữu ích để cải thiện tính bảo mật khi làm việc với các ứng dụng web tiềm ẩn nguy hiểm với chi phí giảm hiệu suất thực thi JavaScript khoảng 17%. Đáng chú ý là Microsoft còn tiến xa hơn nữa khi triển khai chế độ thử nghiệm “Super Duper Secure” trong trình duyệt Edge, cho phép người dùng vô hiệu hóa JIT và kích hoạt các cơ chế bảo mật phần cứng không tương thích với JIT CET (Công nghệ thực thi luồng điều khiển), ACG (Tùy ý). Code Guard) và CFG (Control Flow Guard) để xử lý nội dung web. Nếu thử nghiệm thành công thì chúng ta có thể mong đợi nó sẽ được chuyển sang phần chính của Chrome.
• Trang tab mới cung cấp danh sách các tài liệu phổ biến nhất được lưu trong Google Drive. Nội dung của danh sách tương ứng với phần Ưu tiên trong drive.google.com. Để kiểm soát việc hiển thị nội dung Google Drive, bạn có thể sử dụng cài đặt “chrome://flags/#ntp-modules” và “chrome://flags/#ntp-drive-module”.
• Thẻ thông tin mới đã được thêm vào trang Mở tab mới để giúp bạn tìm thấy nội dung đã xem gần đây và thông tin liên quan. Các thẻ này được thiết kế để giúp bạn tiếp tục làm việc với thông tin bị gián đoạn dễ dàng hơn, ví dụ: các thẻ sẽ giúp bạn tìm công thức cho một món ăn được tìm thấy gần đây trên mạng nhưng đã bị mất sau khi đóng trang hoặc tiếp tục thực hiện mua hàng tại các cửa hàng. Trong quá trình thử nghiệm, người dùng được cung cấp hai bản đồ mới: “Công thức nấu ăn” (chrome://flags/#ntp-recipe-tasks-module) để tìm kiếm công thức nấu ăn và hiển thị các công thức nấu ăn đã xem gần đây; “Mua sắm” (chrome://flags/#ntp-chrome-cart-module) để nhắc nhở về các sản phẩm đã chọn trong cửa hàng trực tuyến.
• Phiên bản Android bổ sung thêm hỗ trợ tùy chọn cho bảng tìm kiếm liên tục (chrome://flags/#continuous-search), cho phép bạn hiển thị các kết quả tìm kiếm gần đây của Google (bảng tiếp tục hiển thị kết quả sau khi chuyển sang các trang khác).
• Chế độ chia sẻ trích dẫn thử nghiệm đã được thêm vào phiên bản Android (chrome://flags/#webnotes-stylize), cho phép bạn lưu một đoạn đã chọn của trang làm trích dẫn và chia sẻ nó với những người dùng khác.
• Khi xuất bản các bổ sung mới hoặc cập nhật phiên bản lên Cửa hàng Chrome trực tuyến, hiện yêu cầu xác minh hai yếu tố của nhà phát triển.
• Người dùng Tài khoản Google có tùy chọn lưu thông tin thanh toán vào tài khoản Google của họ.
• Ở chế độ ẩn danh, nếu tùy chọn xóa dữ liệu điều hướng được kích hoạt, hộp thoại xác nhận thao tác mới đã được triển khai, giải thích rằng việc xóa dữ liệu sẽ đóng cửa sổ và kết thúc tất cả các phiên ở chế độ ẩn danh.
• Do đã xác định được tính không tương thích với phần sụn của một số thiết bị, nên Chrome 91 đã hỗ trợ phương thức thỏa thuận khóa mới, chống lại khả năng đoán trên máy tính lượng tử, dựa trên việc sử dụng tiện ích mở rộng CECPQ1.3 (Đường cong Elliptic-Curve kết hợp và Hậu lượng tử 2) trong TLSv2, kết hợp cơ chế trao đổi khóa X25519 cổ điển với sơ đồ HRSS dựa trên thuật toán NTRU Prime được thiết kế cho các hệ thống mật mã hậu lượng tử.
• Cổng 989 (ftps-data) và 990 (ftps) đã được thêm vào số cổng mạng bị cấm nhằm chặn cuộc tấn công ALPACA. Trước đây, để bảo vệ chống lại các cuộc tấn công trượt dòng NAT, các cổng 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 và 10080 đã bị chặn.
• TLS không còn hỗ trợ mật mã dựa trên thuật toán 3DES. Đặc biệt, bộ mật mã TLS_RSA_WITH_3DES_EDE_CBC_SHA dễ bị tấn công Sweet32 đã bị xóa.
• Hỗ trợ cho Ubuntu 16.04 đã bị ngừng.
• Có thể sử dụng API WebOTP giữa các thiết bị khác nhau được kết nối thông qua một tài khoản Google chung. WebOTP cho phép ứng dụng web đọc mã xác minh một lần được gửi qua SMS. Thay đổi được đề xuất giúp có thể nhận mã xác minh trên thiết bị di động chạy Chrome dành cho Android và áp dụng mã đó trên hệ thống máy tính để bàn.
• API gợi ý tác nhân người dùng đã được mở rộng, phát triển để thay thế cho tiêu đề Tác nhân người dùng. Gợi ý ứng dụng khách tác nhân người dùng cho phép bạn tổ chức phân phối dữ liệu có chọn lọc về các thông số hệ thống và trình duyệt cụ thể (phiên bản, nền tảng, v.v.) chỉ sau khi có yêu cầu của máy chủ. Ngược lại, người dùng có thể xác định thông tin nào có thể được cung cấp cho chủ sở hữu trang web. Khi sử dụng Gợi ý máy khách tác nhân người dùng, mã nhận dạng trình duyệt sẽ không được truyền đi nếu không có yêu cầu rõ ràng và theo mặc định, chỉ có các tham số cơ bản được chỉ định, điều này gây khó khăn cho việc nhận dạng thụ động.

  Phiên bản mới hỗ trợ tham số Sec-CH-UA-Bitness để trả về dữ liệu về độ bit của nền tảng, có thể được sử dụng để phục vụ các tệp nhị phân được tối ưu hóa. Theo mặc định, tham số Sec-CH-UA-Platform được gửi cùng với thông tin chung về nền tảng. Giá trị UADataValues ​​​​được trả về khi gọi getHighEntropyValues() được triển khai theo mặc định để trả về các tham số tổng quát nếu không thể trả về tùy chọn chi tiết. Phương thức toJSON đã được thêm vào đối tượng NavigatorUAData, cho phép bạn sử dụng các cấu trúc như JSON.stringify(navigator.userAgentData).

• Khả năng đóng gói tài nguyên thành các gói ở định dạng Web Bundle, phù hợp để tổ chức tải hiệu quả hơn một số lượng lớn tệp đi kèm (kiểu CSS, JavaScript, hình ảnh, iframe), đã được ổn định và cung cấp theo mặc định. Trong số những thiếu sót trong khả năng hỗ trợ hiện có cho các gói dành cho tệp JavaScript (webpack) mà Web Bundle đang cố gắng loại bỏ: bản thân gói, chứ không phải các bộ phận cấu thành của nó, có thể nằm trong bộ đệm HTTP; quá trình biên dịch và thực thi chỉ có thể bắt đầu sau khi gói đã được tải xuống hoàn toàn; Các tài nguyên bổ sung như CSS và hình ảnh phải được mã hóa dưới dạng chuỗi JavaScript, điều này làm tăng kích thước và yêu cầu một bước phân tích cú pháp khác.
• API phát hiện mặt phẳng WebXR được bao gồm, cung cấp thông tin về các bề mặt phẳng trong môi trường 3D ảo. API được chỉ định giúp tránh việc xử lý dữ liệu tốn nhiều tài nguyên thu được thông qua lệnh gọi MediaDevices.getUserMedia(), bằng cách sử dụng triển khai độc quyền các thuật toán thị giác máy tính. Hãy để chúng tôi nhắc bạn rằng API WebXR cho phép bạn hợp nhất công việc với nhiều loại thiết bị thực tế ảo khác nhau, từ mũ bảo hiểm 3D cố định đến các giải pháp dựa trên thiết bị di động.
• Một số API mới đã được thêm vào chế độ Bản dùng thử gốc (các tính năng thử nghiệm yêu cầu kích hoạt riêng). Bản dùng thử gốc ngụ ý khả năng hoạt động với API được chỉ định từ các ứng dụng được tải xuống từ máy chủ cục bộ hoặc 127.0.0.1 hoặc sau khi đăng ký và nhận mã thông báo đặc biệt có giá trị trong thời gian giới hạn cho một trang web cụ thể.
  • API vị trí cửa sổ đa màn hình đã được đề xuất, cho phép bạn đặt các cửa sổ trên bất kỳ màn hình nào được kết nối với hệ thống hiện tại, cũng như lưu vị trí cửa sổ và nếu cần, mở rộng cửa sổ ra toàn màn hình. Ví dụ: bằng cách sử dụng API được chỉ định, một ứng dụng web để hiển thị bản trình bày có thể sắp xếp hiển thị các trang chiếu trên một màn hình và hiển thị ghi chú cho người thuyết trình trên một màn hình khác.
  • Tiêu đề Cross-Origin-Embedder-Policy, kiểm soát chế độ cách ly Cross-Origin và cho phép bạn xác định các quy tắc sử dụng an toàn trên trang Hoạt động đặc quyền, hiện hỗ trợ tham số "không có thông tin xác thực" để vô hiệu hóa việc truyền thông tin liên quan đến thông tin xác thực, chẳng hạn như Cookie và chứng chỉ ứng dụng khách.
  • Đối với các ứng dụng web độc lập (PWA, Ứng dụng web lũy tiến) kiểm soát việc hiển thị nội dung cửa sổ và xử lý đầu vào, một lớp phủ với các điều khiển cửa sổ, chẳng hạn như thanh tiêu đề và các nút mở rộng/thu gọn sẽ được cung cấp. Lớp phủ mở rộng vùng có thể chỉnh sửa để bao phủ toàn bộ cửa sổ và cho phép bạn thêm các phần tử của riêng mình vào vùng tiêu đề.
  • Đã thêm khả năng tạo các ứng dụng PWA có thể được sử dụng làm trình xử lý URL. Ví dụ: ứng dụng music.example.com có ​​thể tự đăng ký làm trình xử lý URL https://*.music.example.com và tất cả các chuyển đổi từ các ứng dụng bên ngoài sử dụng các liên kết này, chẳng hạn như từ ứng dụng nhắn tin tức thời và ứng dụng email, sẽ dẫn đến đến việc mở ứng dụng PWA- này, không phải tab trình duyệt mới.
• Có thể tải các tệp CSS bằng cách sử dụng biểu thức “nhập”, tương tự như tải các mô-đun JavaScript, thuận tiện khi tạo các phần tử của riêng bạn và cho phép bạn thực hiện mà không cần chỉ định kiểu bằng mã JavaScript. nhập bảng từ './styles.css' khẳng định { type: 'css' }; document.adoptedStyleSheets = [trang tính]; ShadowRoot.adoptedStyleSheets = [tờ];
• Một phương thức tĩnh mới, AbortSignal.abort(), đã được cung cấp để trả về một đối tượng AbortSignal đã được đặt thành bị hủy bỏ. Thay vì phải viết nhiều dòng mã để tạo một đối tượng AbortSignal ở trạng thái bị hủy bỏ, giờ đây bạn có thể thực hiện bằng một dòng duy nhất “return AbortSignal.abort()”.
• Phần tử Flexbox đã bổ sung hỗ trợ cho các từ khóa bắt đầu, kết thúc, tự bắt đầu, tự kết thúc, trái và phải, bổ sung cho các từ khóa trung tâm, bắt đầu linh hoạt và kết thúc linh hoạt bằng các công cụ để căn chỉnh đơn giản hóa vị trí của các phần tử linh hoạt.
• Hàm tạo Error() triển khai một thuộc tính “nguyên nhân” tùy chọn mới, cho phép bạn dễ dàng liên kết các lỗi với nhau. const parentError = Lỗi mới('parent'); lỗi const = Lỗi mới('parent', { nguyên nhân: parentError }); console.log(error.nguyên nhân === parentError); // → đúng
• Đã thêm hỗ trợ cho chế độ noplaybackrate cho thuộc tính HTMLMediaElement.controlsList, cho phép bạn tắt các thành phần của giao diện được cung cấp trong trình duyệt để thay đổi tốc độ phát lại nội dung đa phương tiện.
• Đã thêm tiêu đề Sec-CH-Prefers-Color-Scheme, cho phép, ở giai đoạn gửi yêu cầu, truyền dữ liệu về bảng màu ưa thích của người dùng được sử dụng trong các truy vấn phương tiện “prefers-color-scheme”, điều này sẽ cho phép trang web tối ưu hóa tải CSS liên quan đến lược đồ đã chọn và tránh các chuyển đổi hiển thị từ các lược đồ khác.
• Đã thêm thuộc tính Object.hasOwn, đây là phiên bản đơn giản của Object.prototype.hasOwnProperty, được triển khai dưới dạng phương thức tĩnh. Object.hasOwn({ prop: 42 }, 'prop') // → true
• Được thiết kế để biên dịch brute-force rất nhanh, trình biên dịch JIT của Sparkplug đã thêm chế độ thực thi hàng loạt để giảm chi phí chuyển đổi trang bộ nhớ giữa chế độ ghi và chạy. Sparkplug hiện biên dịch nhiều chức năng cùng một lúc và gọi mprotect một lần để thay đổi quyền của toàn bộ nhóm. Chế độ được đề xuất giúp giảm đáng kể thời gian biên dịch (lên tới 44%) mà không ảnh hưởng tiêu cực đến hiệu suất thực thi JavaScript.
• Phiên bản Android vô hiệu hóa tính năng bảo vệ tích hợp của động cơ V8 chống lại các cuộc tấn công kênh bên như Spectre, vốn không được coi là hiệu quả bằng việc cô lập các trang web trong các quy trình riêng biệt. Trong phiên bản dành cho máy tính để bàn, các cơ chế này đã bị vô hiệu hóa trong bản phát hành Chrome 70. Việc vô hiệu hóa các kiểm tra không cần thiết cho phép tăng hiệu suất lên 2-15%.
• Những cải tiến đã được thực hiện đối với các công cụ dành cho nhà phát triển web. Trong chế độ kiểm tra biểu định kiểu, có thể chỉnh sửa các truy vấn được tạo bằng biểu thức @container. Trong chế độ kiểm tra mạng, bản xem trước các tài nguyên ở định dạng gói Web sẽ được triển khai. Trong bảng điều khiển web, các tùy chọn sao chép chuỗi ở dạng chữ JavaScript hoặc JSON đã được thêm vào menu ngữ cảnh. Cải thiện việc gỡ lỗi các lỗi liên quan đến CORS (Chia sẻ tài nguyên nguồn gốc chéo).

Ngoài những cải tiến và sửa lỗi, phiên bản mới còn loại bỏ 27 lỗ hổng. Nhiều lỗ hổng được xác định là kết quả của quá trình kiểm tra tự động bằng cách sử dụng các công cụ addressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer và AFL. Không có vấn đề nghiêm trọng nào được xác định có thể cho phép một người vượt qua tất cả các cấp độ bảo vệ của trình duyệt và thực thi mã trên hệ thống bên ngoài môi trường hộp cát. Là một phần của chương trình trả thưởng bằng tiền mặt cho việc phát hiện ra các lỗ hổng cho bản phát hành hiện tại, Google đã trả 19 giải thưởng trị giá 136500 USD (ba giải thưởng 20000 USD, một giải thưởng 15000 USD, ba giải thưởng 10000 USD, một giải thưởng 7500 USD, ba giải thưởng 5000 USD và ba giải thưởng 3000 USD). Quy mô của 5 phần thưởng vẫn chưa được xác định.

Nguồn: opennet.ru